שינוי ההגדרה של מיקום האחסון של הנתונים או של הצפנת הנתונים

במאמר הזה מוסבר איך לשנות את ההגדרות של מיקום הנתונים והצפנת הנתונים ברמות Standard ו-Premium אחרי שמפעילים את Security Command Center בארגון. במאמר הזה נסביר איך:

  • הפעלה או השבתה של שמירת נתונים במדינה מסוימת ושינוי מיקום הנתונים.
  • משנים את הגדרת הצפנת הנתונים לשימוש במפתחות הצפנה שמנוהלים על ידי Google או במפתחות של Cloud Key Management Service.
  • משנים את מפתח Cloud KMS.

מגבלות

המגבלות הבאות חלות על היכולת הזו:

  • אפשר לבצע העברת נתונים רק פעם בשבוע. אם אתם מתכננים לשנות את מיקום הנתונים או את ההצפנה של הנתונים כמה פעמים, הקפידו לבצע את השינויים בהפרש של שבוע לפחות.

  • התכונה הזו לא נתמכת אם Security Command Center מופעל רק ברמת הפרויקט.

  • במהלך העברת הנתונים, משאבי notificationConfigs עם מבנה v1 מתעדכנים למבנה v2.

    השדה source_properties לא נתמך בגרסה השנייה של ה-API. אם צריך, מעדכנים את הגדרות הייצוא ל-Pub/Sub ול-BigQuery.

    מידע נוסף זמין במאמר מעבר לגרסה 2 של Security Command Center API.

לפני שמתחילים

לפני שמשנים את ההגדרה, צריך לבצע את הפעולות הבאות:

  1. מתכוננים לשינוי.
  2. מוודאים שיש לכם את התפקידים הנדרשים.
  3. אם משנים את מיקום הנתונים או את המפתחות, צריך ליצור או לאתר את המפתחות של Cloud Key Management Service.
  4. אם אתם משנים את מיקום הנתונים, אתם צריכים להכין כללים להשתקה והגדרות ייצוא.

היערכות לשינוי

אם אתם מעבירים נתונים ממיקום ברירת המחדל של global, כדאי לקרוא את המאמר תכנון מיקום הנתונים כדי להבין איך Security Command Center תומך במיקום הנתונים.

אם אתם מתכננים לשנות את הצפנת הנתונים ממפתחות הצפנה בניהול Google למפתח Cloud KMS, כדאי לקרוא את המאמר הפעלת CMEK ב-Security Command Center כדי לקבל מידע על שימוש במפתחות הצפנה בניהול הלקוח (CMEK) עם Security Command Center.

כדאי לתכנן את שינוי ההגדרה לזמן שבו לא מתבצע ייצוא בכמות גדולה. אם התחלתם לייצא כמות גדולה של נתונים, צריך לחכות עד שהתהליך יסתיים.

אחרי שתשנו את ההגדרה, תהליך העברת הנתונים יכול להימשך בין 4 ל-24 שעות, בהתאם לנפח הממצאים. במהלך התקופה הזו, הפעילות של Security Command Center ושל שירותי הזיהוי המובנים המופעלים מושהית באופן זמני:

  • ‫Security Command Center לא יוצר או מעדכן ממצאים. לא מתקבלות תוצאות שנשלחות אל Security Command Center משירותים משולבים או משירותים של צד שלישי.
  • ייצוא הנתונים ממרכז הבקרה לאבטחה למקורות אחרים מושהה.
  • אין גישה לדפים של Security Command Center במסוף.

  • ממשקי ה-API הבאים של Security Command Center לא זמינים:

    • securitycenter.googleapis.com
    • securitycentermanagement.googleapis.com

    אם קוראים לשיטת API במהלך ההעברה, היא מחזירה שגיאה FAILED_PRECONDITION עם ההודעה API access is temporarily unavailable due to an ongoing data migration.

כשההעברה מסתיימת, Security Command Center והשירותים המובנים מופעלים מחדש באופן אוטומטי.

אם Security Command Center משולב עם מוצרים אחרים, צפויים שיבושים בחיבורים האלה במהלך ההעברה.

כשמשנים את הגדרת אחסון הנתונים, שדות מסוימים מתעדכנים עם מזהה המיקום החדש (לדוגמה, מ-global ל-us). השינוי הזה משפיע על המשאבים הבאים:

  • ממצאים: ערכים של name ו-canonicalNames.
  • כללי השתקה: הערך name בעמודה MuteConfig.

כדאי לתכנן עדכון של שאילתות חיפוש, מערכות חיצוניות וסקריפטים שמסתמכים על ערכי השדות האלה.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות להעברת מיקום הנתונים או להצפנת הנתונים ב-Security Command Center, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Security Center Admin (roles/securitycenter.admin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יצירה או איתור של מפתחות Cloud Key Management Service

יוצרים פרויקט מפתח ומפתחות Cloud Key Management Service אם אחד מהתנאים הבאים מתקיים:

  • אתם מתכננים לשנות את המפתחות של Cloud Key Management Service.

  • אתם מתכננים לשנות את הגדרת מיקום הנתונים בזמן שאתם משתמשים במפתחות של Cloud Key Management Service. במקרה כזה, צריך לבחור מחדש את המפתחות של Cloud Key Management Service.

מידע נוסף זמין במאמר הפעלת CMEK ב-Security Command Center.

הכנת כללי השתקה וייצוא הגדרות

אם אתם מתכננים לשנות את מיקום הנתונים, אתם צריכים לעדכן את ההגדרות הבאות שתלויות בערכי השדות עם מזהה מיקום:

  • איך מוצאים כללי השתקה
  • ייצוא רציף של Pub/Sub

משנים את ערכי השדות כך שישתמשו במזהה המיקום החדש (לדוגמה, מ-global ל-us).

שינוי ההגדרה והתחלת ההעברה

אפשר להשתמש במסוף הגלובלי ובמסוף לפי תחום שיפוט Google Cloud כדי לשנות את הגדרות מיקום הנתונים או הצפנת הנתונים. חשוב לזכור את הנקודות הבאות כשבוחרים מסוף:

  • בחירת מפתח CMEK: בתפריט המפתחות של Cloud KMS מוצגים רק מפתחות שנמצאים באותה סמכות שיפוט כמו המסוף. אם משתמשים במסוף global, כל המקשים מוצגים בתפריט.
  • קבלת התראות: Google Cloud התראות במסוף התראות מופיעות רק למשתמש שהתחיל את ההעברה של נתוני התושבות, ורק באותו מסוף שבו נעשה שימוש כדי להגדיר את ההגדרות (גלובליות או לפי תחום שיפוט).

אפשר לשנות את ההגדרה של מיקום הנתונים, את ההגדרה של הצפנת הנתונים או את שתיהן.

  1. במסוף Google Cloud , עוברים אל הגדרות > פרטי ההגדרה.

    מעבר לפרטי ההגדרה

  2. בוחרים את הארגון שבו מופעל Security Command Center.

  3. לוחצים על ניהול של מיקום הנתונים וההצפנה.

  4. בקטע ניהול מיקום הנתונים, מפעילים או משביתים את מיקום הנתונים. אם מפעילים את מיקום הנתונים, בוחרים את מיקום הנתונים. אם לא תשנו את הבחירה הקיימת, תהליך העברת הנתונים לא ישנה את מזהי המיקום בחיפוש ובערכי שדות המשאבים.

  5. לוחצים על Continue.

  6. בקטע ניהול הצפנת נתונים, בוחרים בהגדרה הצפנה.

    • בוחרים באפשרות מפתח הצפנה בניהול Google או במפתח Cloud KMS.

    • אם בוחרים במפתח Cloud KMS, מבצעים את הפעולות הבאות:

      • לוחצים על Browse כדי לבחור את הפרויקט שבו המפתחות מאוחסנים.
      • בוחרים את המפתח שמנוהל על ידי הלקוח.

    אם הארגון משתמש במפתחות Cloud KMS ושיניתם את הגדרת מיקום הנתונים, אתם צריכים לבחור מחדש את פרויקט המפתח ואת מפתח Cloud Key Management Service.

  7. בודקים את השינויים ולוחצים על התחלת ההעברה. לוחצים על ביטול כדי לחזור ולשנות את הבחירות.

  8. בתיבת הדו-שיח התחלת העברת נתונים, מאשרים את הפעולה על ידי הזנת מזהה הארגון ולחיצה על אישור העברת הנתונים.

  9. יופיע דף הסטטוס של העברת הנתונים, שבו יצוין שההעברה מתבצעת.

    אי אפשר לגשת לדפים של Security Command Center בזמן שמתבצעת העברת נתונים. אם תנסו לגשת אל Security Command Center במהלך ההעברה, יוצג לכם דף סטטוס ההעברה.

  10. כשההעברה מסתיימת, בדף הסטטוס מוצג קישור לפתיחת המסוף במיקום החדש שהוגדר.

אימות היכולות אחרי העברת הנתונים

אחרי שהמיגרציה תושלם, צריך לוודא ש-Security Command Center, שירותים קשורים ושילובים פועלים כמצופה.

  • מוודאים ש-Security Command Center זמין וששירותים שהופעלו בעבר מופעלים.

  • בודקים ומוודאים שהגדרות ייצוא הנתונים מציינות את המשאבים הנכונים:

  • אם שיניתם את ההגדרה של מיקום הנתונים, צריך לעדכן את הפריטים הבאים:

    • השתקת כללים: עדכון כללים שתלויים בממצא name או canonicalName.

    • כדי לציין את המיקום החדש, מעדכנים את המסננים ואת שאילתות החיפוש שמתבססות על חיפוש של name או canonicalName.

    • מוודאים ששאילתות החיפוש פועלות כמו שצריך.

  • מוודאים שהשילובים עם שירותים אחרים, כמו Cloud Hub, ‏ Application Design Center,‏ GKE security posture dashboard או Google SecOps data ingestion, פועלים כמצופה. Google Cloud

המאמרים הבאים